vip云在腾讯云账号中创建 API 密钥后，会得到一对字符串：SecretId 和 SecretKey。很多人把它们统称为“密钥”，在保管时不加区分。vip云从概念上把两者拆开解释，帮助理解为什么 SecretKey 需要格外保护。
SecretId：请求是谁发的
SecretId 相当于身份标识。程序调用腾讯云 API 时，请求中会携带 SecretId，服务端据此知道是哪个账号或子用户的密钥发起的请求，从而判断它拥有哪些权限。
配图为流程示意，非控制台截图或交易凭据。
SecretKey：证明请求确实出自持有者
SecretKey 用于对请求生成签名。服务端会用相同的规则验证签名，只有持有正确 SecretKey 的一方才能生成有效签名。SecretKey 本身不会随请求明文发送，因此它是真正需要保密的部分。
两者对照
| 项目 | SecretId | SecretKey |
|---|---|---|
| 作用 | 标识身份 | 生成请求签名 |
| 是否随请求发送 | 是 | 否，只发送签名结果 |
| 泄露后的风险 | 单独泄露风险有限 | 与 SecretId 一起泄露即可冒用 |
| 保管要求 | 不宜公开 | 必须严格保密 |
主账号密钥与子用户密钥
主账号和子用户都可以拥有 API 密钥，但主账号密钥拥有全部权限，风险极高。腾讯云建议为程序创建子用户并授予所需权限，再使用子用户的密钥。这样密钥泄露时，影响被限制在子用户的权限范围内。
配图为流程示意，非控制台截图或交易凭据。
示例：一次配置文件审查
某团队审查代码仓库时发现配置文件中同时写着 SecretId 和 SecretKey，且属于主账号。负责人随即创建专用子用户，替换为新密钥，并禁用旧密钥，同时把配置改为从环境变量读取。
只泄露了 SecretId 要紧吗？
单独的 SecretId 无法生成有效签名，但它会暴露账号的部分标识信息，仍建议排查泄露途径，必要时一并更换。
SecretKey 忘记了还能再查看吗？
出于安全考虑，SecretKey 通常只在创建时完整展示一次，之后在控制台中无法再次查看完整内容。如果忘记或丢失，应新建一对密钥替换使用，再禁用旧密钥。正因如此，创建密钥时就要决定好存放位置，例如企业的密钥管理系统，而不是临时记在聊天记录里。
延伸阅读与办理
可继续阅读腾讯云账号更换 MFA 设备，怎样安排接续验证？。需要办理时，先查看腾讯云账号服务说明，再通过vip云咨询入口说明用途与待核对事项。
官方资料
腾讯云：子账号 API 密钥管理；腾讯云：用户类型。资料核对日期：2026-10-30。文中清单为操作准备建议；产品条件、实际收费和可用功能以相应账号的官方页面及有效订单为准。
